Ouvrir un compte bancaire, créer une identité numérique, accéder à certains services en ligne, ou prouver son âge avant de consulter un contenu réservé aux adultes… Nous sommes de plus en plus nombreux à devoir filmer notre visage pour prouver qui nous sommes.
Cette courte vidéo, appelée « preuve de vie », est devenue un nouvel outil de confiance numérique. Son objectif est de vérifier que la bonne personne se trouve bien devant la caméra. Cette confiance repose sur la vidéo comme preuve fiable. Or, l’intelligence artificielle est désormais parfaitement capable de produire de fausses vidéos, quasiment indectectables.
Une rupture technologique qui change les règles du jeu
Des chercheurs de Synacktiv ont étudié l'état de l'art des technologies de vérification d'identité à distance (KYC, Know Your Customer), ainsi que les capacités des nouvelles générations d'IA générative. Leur constat est clair, l'arrivée des modèles vidéo génératifs progressent beaucoup plus vite que les mécanismes de vérification conçus pour les détecter.
Encore récemment, produire un deepfake crédible nécessitait des compétences pointues, (des centaines d'images d'entraînement et d'importantes ressources informatiques). Les résultats étaient souvent imparfaits, avec des mouvements peu naturels ou des défauts visibles.
Aujourd'hui, ce n’est plus le cas. Une nouvelle génération de modèles vidéo est capable de créer, à partir d'une simple photographie, une vidéo reproduisant les mouvements du visage, les expressions, les changements d'éclairage, et même certains défis de « preuve de vie », utilisés lors des contrôles d'identité.
Une démonstration réalisée dans le contexte de la vérification d'âge
Les chercheurs de Synacktiv se sont intéressés à un système de vérification d'âge, utilisé par plusieurs sites réservés aux adultes.
Un choix loin d'être anodin. Depuis le renforcement de la réglementation française, ces plateformes déploient de nouveaux dispositifs de contrôle, fondés sur une courte vidéo de l'internaute.
Les chercheurs ont ainsi démontré qu'une simple vidéo générée par IA peut tromper un système reposant principalement sur l’analyse automatisée de la fameuse preuve de vie.
Une question qui dépasse largement les sites pour adultes
La vérification vidéo est aujourd'hui utilisée dans de très nombreux domaines (ouverture de comptes bancaires, services financiers, identité numérique, plateformes réglementées, lutte contre la fraude, location de véhicules, signature électronique ou encore vérification d'âge).
La confiance accordée à une simple vidéo concerne donc une grande partie de notre vie numérique. À mesure que ces contrôles se généralisent, ils deviennent également une cible privilégiée pour les attaquants. Les chercheurs soulignent que les nouveaux outils d'IA générative rendent certaines attaques beaucoup plus accessibles qu'auparavant, y compris via des plateformes cloud ne nécessitant pas de compétences particulièrement avancées.
Les référentiels de confiance plus essentiels que jamais
Cette recherche ne signifie pas que tous les systèmes de vérification sont vulnérables ou dépassés. Elle montre en revanche, que les mécanismes reposant essentiellement sur une analyse automatisée d'un flux vidéo devront continuer à évoluer pour résister aux prochaines générations d'intelligence artificielle.
En France, le référentiel PVID (Prestataire de Vérification d'Identité à Distance), élaboré par l'ANSSI, constitue aujourd'hui l'un des cadres les plus exigeants. Il ne repose pas uniquement sur la reconnaissance faciale. Il combine plusieurs niveaux de contrôle, des mécanismes avancés de preuve de vie, et peut prévoir l'intervention d'un opérateur humain en cas de doute, afin d'atteindre un niveau de confiance comparable à une vérification réalisée en face-à-face.
Pour les chercheurs, cette démonstration indique que les mécanismes de confiance numérique ne peuvent plus être conçus comme des systèmes figés. Ils doivent évoluer en permanence pour suivre les progrès de l'intelligence artificielle.
« Les modèles d'intelligence artificielle sont désormais capables de reproduire des comportements humains avec un réalisme inédit. Notre rôle chez Synacktiv, est d'identifier les limites et la faiblesse des technologies actuelles, avant que des attaquants ne les exploitent. C'est précisément l'objectif de ces travaux. Les mécanismes de confiance doivent évoluer au même rythme que les nouvelles menaces. », indiquent Kevin Tellier et Léo Desmonts, chercheurs en cybersécurité, chez Synacktiv.
Les principaux enseignements de la recherche
-
Les modèles vidéo génératifs atteignent désormais un niveau de réalisme inédit.
-
Certains systèmes reposant principalement sur une analyse automatisée de la preuve de vie peuvent être contournés.
-
La vérification vidéo est utilisée bien au-delà de la vérification d'âge et concerne désormais de nombreux services du quotidien.
-
Les référentiels les plus exigeants, comme le PVID de l'ANSSI, prennent une importance croissante face à cette nouvelle génération de menaces.
→ Pour consulter le rapport complet de la recherche
A propos de Synacktiv
Entreprise française spécialisée en cybersécurité offensive, fondée en 2012 par deux experts en sécurité, ses principaux domaines d'expertise sont les tests d’intrusions, les audits de sécurité, la rétro-ingénierie, la recherche de vulnérabilités et la réponse à incidents.
Synacktiv participe à des projets sensibles de renommée mondiale. Elle développe de nombreux outils de sécurité offensifs dans le cadre de ses activités.
Synacktiv est agréée PASSI RGS et LPM (Prestataire d’Audit de la Sécurité des Systèmes d’Information) & CESTI (Centre d'Évaluation de la Sécurité des Technologies de l'Information) par l'ANSSI. Labellisée Cybersecurity Made In Europe par l'Alliance pour la Confiance Numérique (ACN), organisme certificateur autorisé par l’Autorité nationale des jeux (ANJ).
L’entreprise compte plus de 1 000 clients et emploie actuellement une équipe de plus de 200 experts en cybersécurité. Elle opère principalement depuis ses bureaux de Paris, Bordeaux, Toulouse, Lyon, Lille et Rennes. Les équipes interviennent en France, en Europe et à l’international.
A une échelle nationale ou internationale, l’implication de Synacktiv au sein de la communauté cyber se traduit par la participation à de nombreux évènements (conférences, challenges, CTF) ainsi que la publication régulière d’alertes de sécurité ou d’articles.
